Dans cet arrêt, la CJUE rappelle que toute personne a le droit de savoir à qui ses données personnelles ont été communiquées. Toutefois, le responsable de traitement peut se contenter d’indiquer les catégories de destinataires dès lors que leur identification est impossible ou que la demande est manifestement excessive ou infondée.
Dans un arrêt en date du 12 janvier 2023 ayant pour objet une demande de décision préjudicielle au titre de l’article 267 du TFUE et introduite par la Cour suprême d’Autriche (Oberster Gerichtshof), la CJUE s’est exprimée quant à l’interprétation de l’article 15 du RGPD.
Pour rappel, l’article 15 du RGPD, intitulé « Droit d’accès de la personne concernée », prévoit en son premier alinéa, c) que : « La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales »
La question préjudicielle portait sur l’interprétation de l’article 15 du RGPD et était libellée comme suit : « L’article 15, paragraphe 1, sous c) du RGPD, doit-il être interprété en ce sens que le droit d’accès est limité à l’information sur les catégories de destinataires si les destinataires ne sont pas encore connus lorsque les communications sont envisagées, mais qu’il doit impérativement s’étendre également à l’information sur les destinataires de ces informations lorsque des données ont déjà été communiquées ?»
Plusieurs éléments ont été invoqués par la CJUE :
Les termes « destinataires » et « catégories de destinataires » figurant dans la disposition susvisée sont utilisés successivement, de sorte qu’on ne peut en déduire un ordre de priorité. En ce sens, la personne concernée doit avoir le droit de connaître et de se faire communiquer l’identité des destinataires des données à caractère personnel, sans qu’une limitation aux seules catégories de destinataires ne soit précisée.
Pour respecter le droit d’accès, tout traitement de données des personnes physiques à caractère personnel doit être conforme aux principes énoncés à l’article 5 du RGPD, parmi lesquels se trouve le principe de transparence qui exige que les informations soient aisément accessibles et compréhensibles.
La personne concernée doit pouvoir obtenir soit les informations sur les destinataires spécifiques auxquels lesdites données ont été ou seront communiquées, lorsque cela est possible, soit celles concernant les catégories de destinataires.
L’exercice du droit d’accès doit permettre à la personne concernée de vérifier que les données la concernant sont exactes et traitées de manière licite, ce qui nécessite pour cela qu’elle dispose d’un droit à être informée de l’identité des destinataires concrets dans le cas où ses données ont déjà été communiquées.
Ainsi, au regard de ce qui précède, l’article 15 du RGPD doit être interprété en ce sens que le droit d’accès implique, lorsque les données ont été ou seront communiquées à des destinataires, l’obligation pour le responsable du traitement de fournir à la personne concernée l’identité des destinataires.
Toutefois, deux tempéraments ont été apportés :
En ce que le droit à la protection des données à caractère personnel n’est pas absolu au sens de l’article 4 du RGPD, le droit d’accès peut être limité à l’information sur les catégories de personnes dès lors qu’il est impossible de communiquer l’identité des destinataires concrets, notamment s’ils ne sont pas connus.
Le responsable de traitement peut refuser de donner suite aux demandes de la personne concernée dès lors que celles-ci présentent un caractère manifestement excessif ou infondé.
Source: CURIA - Documents (europa.eu)
